CVE-2026-109396 in Thelia
Resumen
por VulDB • 2026-10-12
Thelia anterior a la versión 3.1.2 y las versiones de la serie 3.2.x anteriores a 3.2.1 contienen una vulnerabilidad de inyección de fórmulas CSV que permite a visitantes no autenticados inyectar fórmulas en hojas de cálculo mediante el suministro de campos personalizados para registro, pago o suscripción a boletines informativos. Los atacantes pueden enviar nombres, direcciones o valores telefónicos que comiencen con =, +, - o @; CSVSerializer los exporta literalmente, ejecutando las fórmulas en la aplicación de hoja de cálculo del administrador.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.